问

交换机s5130s hi漏洞消缺

12小时前提问

0关注
0收藏，54浏览

zhiliao_mYO1y7

zhiliao_mYO1y7 零段

粉丝：0人关注：0人

问题描述：

在配置远程 SSH 服务器时，出于安全性考虑，应避免使用诸如 arcfour、aes128-cbc、blowfish-cbc、3des-cbc 等弱加密算法。消缺ssh服务支持弱加密算法

3 个回答

按时间按赞数

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：17人关注：9人

针对S5130S-HI交换机SSH弱加密算法漏洞消缺，需禁用arcfour、aes128-cbc、blowfish-cbc、3des-cbc等算法。
排查步骤：
1. 查看当前SSH算法配置：
display ssh server algorithm
2. 查看当前SSH服务状态：
display ssh server status
消缺配置：
进入系统视图，配置SSH服务端加密算法：
system-view
ssh server cipher aes128-ctr aes192-ctr aes256-ctr
ssh server mac hmac-sha2-256 hmac-sha2-512
ssh server key-exchange dh-group14-sha1 dh-group14-sha256
如需同时禁用弱KEX算法：
ssh server key-exchange dh-group1-sha1
undo ssh server key-exchange dh-group1-sha1
验证：
display ssh server algorithm
确认输出中不再包含arcfour、cbc类算法。
注意事项：
配置前确认客户端支持CTR模式及SHA2算法，否则可能导致SSH无法登录。
建议保留至少一种强加密算法（如aes256-ctr）和强MAC算法（如hmac-sha2-256）。
若设备作为SSH客户端连接其他服务器，还需配置ssh client cipher和ssh client mac限制客户端使用的算法。

暂无评论

IT小工

IT小工九段

粉丝：44人关注：2人

## 一、配置思路

`ssh2 algorithm cipher` 是**白名单模式**：命令后面只写需要保留的安全算法，不在列表中的算法就直接禁用，不能单独 undo 某一个弱算法H3C。

✅推荐保留安全加密算法：`aes128‑ctr aes192‑ctr aes256‑ctr aes128‑gcm aes256‑gcm`
❌剔除：`3des‑cbc、aes128‑cbc、aes256‑cbc、des‑cbc`

## 完整配置命令

```
system‑view
# 配置SSH2加密白名单，只保留CTR/GCM安全算法，禁用全部CBC弱加密
ssh2 algorithm cipher aes128‑ctr aes192‑ctr aes256‑ctr aes128‑gcm aes256‑gcm

# 配置MAC算法，禁用md5系列弱hmac
ssh2 algorithm mac hmac‑sha2‑256 hmac‑sha2‑512

# 密钥交换算法，禁用弱dh‑group1
ssh2 algorithm kex diffie‑hellman‑group14‑sha256 diffie‑hellman‑group16‑sha512 ecdh‑sha2‑nistp256 ecdh‑sha2‑nistp384

# 禁用SSH1.X兼容（SSH1全部是弱算法，必须关闭）
undo ssh server compatible‑ssh1x enable

# 公钥算法，移除dsa弱算法
ssh2 algorithm public‑key rsa ecdsa‑sha2‑nistp256 ecdsa‑sha2‑nistp384

save
```

>
> ⚠注意：配置完**已经存在的 SSH 会话不会立刻生效**，需要重新新建 SSH 连接才会使用新算法协商。

## 二、核查确认命令

```
#查看SSH2当前生效算法列表
display ssh2 algorithm
```

输出的 cipher 字段只能看到：`aes128‑ctr aes192‑ctr aes256‑ctr aes128‑gcm aes256‑gcm`，不再出现 3des‑cbc/aes128‑cbc 即为配置成功。

## 三、关于扫描还报 arcfour、blowfish‑cbc

S5130S‑HI Comware V7 SSH2**本身就没有实现 arcfour、blowfish‑cbc 加密套件**，漏洞扫描器属于指纹误报；
整改说明文档可以备注：`设备Comware V7 SSH2协议不支持arcfour、blowfish‑cbc算法，扫描结果为工具误报；已清除全部CBC模式弱加密算法3des‑cbc、aes128‑cbc`。

## 四、风险注意点

1. 部分老旧 SSH 客户端（旧版 Xshell、旧 Putty）只支持 CBC 算法，配置完成后老客户端将无法连接设备，需要更新终端工具。**配置前确认运维终端 SSH 客户端支持 CTR/GCM 加密**，避免管理失联。
2. 如果现场有老旧运维工具必须兼容，至少保留`aes256‑ctr`最低底线，不要保留任何 CBC 系列。
3. 若配置完无法 ssh 登录，使用 Console 线登录设备，执行下面命令恢复默认算法：

```
system‑view
undo ssh2 algorithm cipher
undo ssh2 algorithm mac
undo ssh2 algorithm kex
undo ssh2 algorithm public‑key
```

## 附加加固建议（等保配套）

1. 配置 ACL 限制 SSH 来源地址：

```
acl number 3000
rule permit tcp source 192.168.1.0 0.0.0.255 destination‑port eq 22
rule deny ip
ssh server acl 3000
```

2. 开启密码复杂度策略，配置 SSH 空闲超时。